Wat betekent de WPA2-kwetsbaarheid voor IoT?

Onderzoekers van een Belgische universiteit onthulden eerder deze week de ontdekking van een breuk in het beveiligingsprotocol dat wordt gebruikt om de overgrote meerderheid van wifi-verbindingen (op basis van WPA2) te beschermen. Mathy Vanhoef van imec-DistriNet, KU Leuven University, heeft zijn bevindingen vrijgegeven waarin hij uitlegt dat een aanvaller binnen het bereik van een slachtoffer deze zwakheden kan misbruiken met behulp van key-reinstallation-aanvallen (KRACK's) om informatie te lezen waarvan eerder werd aangenomen dat deze veilig was versleuteld. Dit kan worden misbruikt om gevoelige informatie te stelen, zoals creditcardnummers, wachtwoorden, chatberichten, e-mails en foto's.

Vanhoef benadrukte:“Afhankelijk van de netwerkconfiguratie is het ook mogelijk om data te injecteren en te manipuleren. Een aanvaller kan bijvoorbeeld ransomware of andere malware op websites injecteren.” Verder is de KRACK-aanval universeel en werkt hij tegen alle soorten apparaten die verbinding maken met of gebruikmaken van een WPA2 wifi-netwerk. Dit omvat Android, Linux, iOS, macOS, Windows, OpenBSD en embedded en IoT-apparaten. Als je apparaat wifi ondersteunt, is dit waarschijnlijk het geval.

Zie ook : 6 technologieën die u moet kennen om uw IoT-netwerk te beveiligen

De zwakke punten zitten in de wifi-standaard zelf, en niet in individuele producten of implementaties. Daarom wordt elke correcte implementatie van WPA2 waarschijnlijk nog steeds beïnvloed. Consumenten wordt geadviseerd om al hun apparaten bij te werken zodra beveiligingsupdates beschikbaar zijn.

Ik sprak met cybersecurity-onderzoeker Nadir Izrael, CTO en mede-oprichter van Armis, het bedrijf dat verantwoordelijk is voor de ontdekking van BlueBorne, een reeks kwetsbaarheden die van invloed zijn op elk verbonden apparaat dat Bluetooth gebruikt. Bijna alle apparaten met Bluetooth-mogelijkheden, waaronder smartphones, tv's, laptops, horloges, smart-tv's en zelfs sommige auto-audiosystemen, zijn kwetsbaar voor deze aanval. Indien misbruikt, kunnen de kwetsbaarheden een aanvaller in staat stellen apparaten over te nemen, malware te verspreiden of een "man-in-the-middle" op te zetten om toegang te krijgen tot kritieke gegevens en netwerken zonder tussenkomst van de gebruiker.

Izrael legde uit:

De uitdaging om verbonden producten bij te werken

Terwijl bedrijven zich haasten om beveiligingsupdates en patches uit te brengen (Tech blog Charged biedt een doorlopende lijst van firmware-patches zodra ze beschikbaar komen) is de realiteit iets complexer voor IoT. Zoals Izrael opmerkt:

Is dit bewijs van kwetsbaarheden rijp voor toekomstige aanvallen?

Gelukkig zal de wereld zoals we die nu kennen voorlopig niet eindigen, maar de Izrael merkt op dat KRACK een proof-of-concept is. Aangezien patches nu worden uitgebracht, is de hoop dat het niet in het wild zal worden uitgebuit, maar het is waarschijnlijk dat criminelen het zullen proberen. Hij stelt voor dat bedrijven voor bescherming ervoor moeten zorgen dat al hun bedrijfs- en werknemersapparaten zijn bijgewerkt met de nieuwste software en patches. Voor apparaten die ze niet beheren of niet kunnen updaten, moeten bedrijven ervoor zorgen dat apparaten geen verbinding kunnen maken met een kritiek netwerk.

Izrael waarschuwt dat de slechte focus van de industrie op beveiliging, omdat connectiviteit de eerste prioriteit is, een ecosysteem heeft gecreëerd dat rijp is voor aanvallen::

“In een wereld met een schrijnend gebrek aan beveiligingsstandaarden voor IoT-protocollen, zien we een aanvalsoppervlak dat zich snel uitbreidt, waardoor bedrijven worden blootgesteld aan aanvallen waartegen ze zich niet kunnen verdedigen. Helaas weten we dat bedrijven 40% van de aangesloten apparaten in hun omgeving niet eens kunnen zien. Dit is de reden waarom IoT en al deze verbonden apparaten een groot beveiligingsprobleem zijn. Het is een enorme blinde vlek op het gebied van beveiliging voor organisaties, met ernstige gevolgen.”

Terwijl onderzoekers klauteren om de oorsprong van en de mensen die verantwoordelijk zijn voor KRACK te achterhalen, is het slechts een kwestie van tijd voordat de volgende wifi-kwetsbaarheid (WPA2-specifiek of niet) met mogelijk ernstige gevolgen aan het licht komt.